Як даведацца, ці ўзламалі ваш крыптакашалёк: 10 трывожных прыкмет

Пацверджаны перавод, на які вы не давалі дазволу, — найбольш відавочная прыкмета таго, што нешта не так. Але кашалёк можа стаць небяспечным яшчэ да таго, як знікнуць грошы. Скрадзеная фраза аднаўлення, схаваны дазвол на расходаванне сродкаў або змена таго, хто кіруе кашальком, могуць даць зламысніку доступ, нават калі ваш баланс выглядае звычайна.

Некаторыя з прыведзеных ніжэй прыкмет сведчаць пра фактычны крадзеж. Іншыя паказваюць, што ваш кашалёк або прылада могуць быць скампраметаваныя. Гэтае адрозненне важнае, бо спосаб вырашэння праблемы залежыць ад таго, як зламыснік атрымаў доступ.

Калі сродкі выводзяцца проста цяпер, спыніце пералічваць грошы на гэты кашалёк і адразу перайдзіце да крокаў рэагавання ў канцы артыкула.

Што насамрэч азначае ўзлом крыптакашалька?

Ваша крыптавалюта ўлічваецца ў блокчэйне. Кашалёк дапамагае вам кіраваць ёю з дапамогай прыватных ключоў або іншых правілаў аўтарызацыі. Фраза аднаўлення, якую таксама называюць seed-фразай, дазваляе аднавіць ключы для многіх акаўнтаў кашалька.

Слова «ўзламалі» выкарыстоўваюць для апісання некалькіх розных праблем:

• Скрадзеныя ключы: Нехта валодае вашым прыватным ключом або фразай аднаўлення і можа пацвярджаць транзакцыі з іншай прылады.
• Злоўжыванне дазволамі: Вы ўхвалілі кантракт або падпісалі запыт, які дазваляе іншай асобе перамяшчаць пэўныя актывы. Вашы ключы пры гэтым могуць заставацца сакрэтнымі.
• Скампраметаваная прылада або праграма: Шкоднаснае ПЗ, падроблены кашалёк або шкоднае пашырэнне крадзе звесткі ці змяняе тое, што вы збіраецеся адправіць.
• Скампраметаваны акаўнт біржы: Нехта атрымлівае доступ да акаўнта, на якім кампанія захоўвае вашу крыптавалюту.

Апаратны кашалёк дапамагае абараніць прыватныя ключы, але не можа зрабіць небяспечны дазвол бяспечным. Калі вы ўхваліце няправільнае дзеянне, апаратны кашалёк можа карэктна падпісаць яго.

1. Сапраўдная крыптавалюта сыходзіць з кашалька без вашага дазволу

Вы знаходзіце завершаны перавод, продаж NFT або вывад сродкаў, які не можаце патлумачыць. Гэта можа адбыцца, калі ваш тэлефон выключаны або вы знаходзіцеся далёка ад камп'ютара.

Спачатку выключыце дзеянні, якія вы арганізавалі раней, напрыклад аўтаматычны плацёж, вывад з біржы або аперацыю ў гандлёвай праграме. Затым праверце фактычную транзакцыю ў блокчэйне.

Упэўніцеся, што сапраўдны актыў быў перамешчаны і ваш баланс паменшыўся. Дзіўнага запісу ў гісторыі актыўнасці кашалька самога па сабе недастаткова. Махляры могуць ствараць зманлівыя запісы пра токены, якія выглядаюць як пераводы з вашага адраса.

Як толькі вы пацвердзілі перамяшчэнне сапраўдных актываў без дазволу, дзейнічайце неадкладна. Не трэба чакаць, пакуль кашалёк цалкам спустошаць.

2. Новыя папаўненні знікаюць амаль імгненна

Вы адпраўляеце ETH або іншую манету сеткі на кашалёк, каб аплаціць камісіі за транзакцыі. Праз некалькі секунд сродкі сыходзяць на незнаёмы адрас. З наступным папаўненнем адбываецца тое самае.

Гэта тыповая схема працы sweeper-бота — праграмы, якая адсочвае скампраметаваны кашалёк і аўтаматычна забірае даступныя сродкі. Калі вы выключылі аўтаматызацыю, якую наладзілі самі, такія паўторныя вывады з'яўляюцца сур'ёзнай прыкметай несанкцыянаванага доступу.

Бот можа працаваць на камп'ютары зламысніка. Закрыццё праграмы кашалька або перазагрузка тэлефона яго не спыняць. Некаторыя боты не чапаюць невялікія сумы, пакуль не паступіць буйнейшае папаўненне, таму грошы, якія застаюцца на месцы, не даказваюць бяспеку кашалька.

Не працягвайце дадаваць сродкі на gas і не рабіце пробных папаўненняў. Вы можаце проста фінансаваць зламысніка.

3. Вы знаходзіце незнаёмыя дазволы для токенаў або NFT

Многія крыптапраграмы просяць дазвол на расходаванне токенаў. Такія ўхваленні могуць заставацца актыўнымі яшчэ доўга пасля таго, як вы перасталі карыстацца праграмай.

Трывожныя прыкметы ўключаюць нядаўна дададзенага атрымальніка права расходавання (spender), якога вы не ведаеце, доступ, дадзены пасля наведвання падазронага сайта, або ліміт расходавання, значна большы за патрэбны для дзеяння. Дазвол для NFT можа даць аператару магчымасць перавесці ўсе NFT, якія вы маеце ў пэўнай калекцыі.

Неабмежаваныя дазволы часта выкарыстоўваюцца ў легітымных праграмах, таму самі па сабе не даказваюць узлом. Важна, хто мае доступ, якія актывы ён можа перамяшчаць і ці збіраліся вы даваць такі дазвол.

Праверце сетку, сапраўдны кантракт токена, атрымальніка дазволу і суму. Адключэнне сайта ад кашалька не скасоўвае дазвол, які ўжо запісаны ў блокчэйне.

4. Нібыта запыт на ўваход дае права расходаваць сродкі

Вы заходзіце на сайт, каб увайсці, атрымаць узнагароду або праверыць кашалёк. Сайт просіць подпіс без камісіі за транзакцыю. Запыт змяшчае колькасць токенаў, атрымальніка права расходавання або ордар на продаж NFT, якія вы не збіраліся ўхваляць.

Некаторыя подпісы могуць дазваляць расходаванне сродкаў без асобнай транзакцыі ўхвалення з вашага боку. Прыкладамі служаць функцыі Permit і Permit2, а таксама подпісы ордараў на маркетплэйсах. Іх выкарыстоўваюць легітымныя праграмы, але махляры могуць выдаваць іх за бяскрыўдныя крокі ўваходу.

Адсутнасць платы за gas нічога не кажа пра бяспеку подпісу.

Ёсць яшчэ адзін нюанс: падпісаны, але пакуль не выкарыстаны дазвол можа не з'яўляцца ў блокчэйне, пакуль нехта яго не адправіць. Ваш звычайны спіс транзакцый, а часам і інструмент праверкі дазволаў, можа выглядаць чыстым, хоць дазвол усё яшчэ дзейнічае.

Калі вы падпісалі падазроны запыт, спыніце ўзаемадзеянне з сайтам і высветліце, што дазваляў гэты подпіс. Спосаб скасавання залежыць ад тыпу дазволу. Звычайны водгук ухвалення не робіць несапраўднымі ўсе нявыкарыстаныя подпісы.

5. У кашалька з'явіўся новы ўладальнік або незнаёмы дазвол на кіраванне

Некаторыя кашалькі маюць некалькіх уладальнікаў, кантакты для аднаўлення, часовыя ключы подпісу або праграмныя модулі, якія могуць выконваць дзеянні. Іх часта называюць смарт-кашалькамі або смарт-акаўнтамі.

Уладальнік, якога вы ніколі не дадавалі, памяншэнне неабходнай колькасці подпісаў, незнаёмы спосаб аднаўлення або новы модуль патрабуюць неадкладнай увагі. У залежнасці ад паўнамоцтваў такая змена можа дазволіць іншай асобе перамяшчаць сродкі без вашай звычайнай працэдуры ўхвалення.

У Ethereum і сумяшчальных сетках функцыя EIP-7702 таксама дазваляе звычайнаму кашальку аўтарызаваць код, які дзейнічае праз яго адрас. Шкодная аўтарызацыя можа забяспечыць працяглы доступ без раскрыцця фразы аднаўлення.

Адну дэталь лёгка прапусціць: у межах гэтай функцыі прынятае дэлегаванне можа захавацца, нават калі выкананне транзакцыі скончылася няўдачай. Пазнака «няўдала» не заўсёды азначае, што налады кіравання кашальком не змяніліся.

Правярайце гэтыя дазволы праз афіцыйныя інструменты кашалька. Аднаго водгуку дазволаў для токенаў недастаткова, каб выдаліць незнаёмага ўладальніка кашалька або дэлегаванне.

6. Ваша фраза аднаўлення або прыватны ключ сталі вядомыя іншым

Вы ўвялі фразу на сайце, адправілі яе таму, хто назваўся супрацоўнікам падтрымкі, або імпартавалі ў праграму кашалька, якая аказалася падробкай. Таксама вы можаце выявіць, што незашыфраваная рэзервовая копія была даступная праз узламаны воблачны акаўнт або агульны файл.

Лічыце акаўнты, якія кантралююцца гэтым сакрэтам, скампраметаванымі, нават калі сродкі яшчэ не рухаліся. Іншая асоба можа аднавіць кашалёк у сябе, не выклікаўшы папярэджання пра ўваход у вашай праграме.

Змена пароля праграмы кашалька не зменіць раскрытыя прыватныя ключы. Стварэнне іншага акаўнта з той самай фразай аднаўлення таксама не вырашыць праблему.

Важны маштаб уцечкі. Раскрытая фраза аднаўлення можа паставіць пад пагрозу шмат акаўнтаў. Уцечка асобна імпартаванага прыватнага ключа можа закрануць толькі акаўнт, якім ён кіруе.

7. Здаецца, праграму або пашырэнне кашалька падмянілі

Вы знаходзіце пашырэнне, якое ніколі не ўсталёўвалі, падробленую праграму кашалька або папярэджанне сістэмы бяспекі пра ПЗ, якое крадзе даныя кашалька. Ваш звыклы кашалёк таксама можа раптам прапанаваць аднавіць яго пасля незразумелай змены.

Запыт на аднаўленне можа мець звычайную прычыну, напрыклад паўторную ўсталёўку або ачышчэнне даных праграмы. Сам па сабе ён не даказвае крадзеж, але дае падставу праверыць праграму, перш чым уводзіць сакрэтныя звесткі.

Праверце сапраўднасць праграмы праз афіцыйны сайт пастаўшчыка кашалька і ўдакладніце ідэнтычнасць пашырэння. Знаёмую назву і лагатып лёгка скапіяваць.

Калі вы ўжо ўводзілі фразу аднаўлення ў падазронае ПЗ, лічыце яе раскрытай. Выдаленне праграмы не выдаляе копію, якая ўжо ёсць у зламысніка.

8. Адрас атрымальніка змяняецца пры ўстаўцы

Вы капіруеце адрас атрымальніка, устаўляеце яго ў кашалёк і бачыце іншы адрас. Шкоднаснае ПЗ, якое кантралюе буфер абмену, можа замяняць крыптаадрасы на адрасы зламысніка.

Гэта сведчыць пра праблему з прыладай або праграмай. Не абавязкова, што нехта атрымаў ваш прыватны ключ, але такая прылада небяспечная для пераводаў.

Зламыснікі могуць падстаўляць адрасы, падобныя да арыгінальных. Калі правяраць толькі некалькі першых і апошніх сімвалаў, падмену можна не заўважыць. Параўнайце ўвесь адрас атрымальніка з надзейнай копіяй. Калі выкарыстоўваеце апаратны кашалёк, праверце адрас на экране прылады перад ухваленнем.

Скасуйце транзакцыю, калі адрасы адрозніваюцца. Паўторнае капіраванне і ўстаўка, пакуль нейкі адрас не падасца правільным, праблемы не вырашае.

9. Невытлумачальныя страты ахопліваюць розныя акаўнты або сеткі

Знікненне аднаго токена можа быць вынікам пэўнага дазволу на яго расходаванне. Несанкцыянаваныя пераводы з некалькіх акаўнтаў, створаных з адной фразы аднаўлення, выклікаюць занепакоенасць больш маштабнай уцечкай ключоў.

Напрыклад, страты ў дзвюх сетках разам з актыўнасцю іншага акаўнта з той самай фразай патрабуюць шырэйшага расследавання. Праверце кожны закрануты акаўнт і сетку, а не мяркуйце, што праблема абмяжоўваецца першым заўважаным зніклым токенам.

Гэтая заканамернасць дапамагае звузіць кола прычын, але не дае канчатковага адказу. Некалькі шкодных дазволаў або аўтарызацыя кашалька, якая дзейнічае ў некалькіх сетках, таксама могуць выклікаць шырокія страты.

Аднолькавы адрас кашалька ў розных сетках тыпу Ethereum — нармальная з'ява і сам па сабе не з'яўляецца трывожнай прыкметай. Трывожыць менавіта невытлумачальная актыўнасць гэтых акаўнтаў.

10. У акаўнце біржы з'явіліся незнаёмыя ўваходы або вывады сродкаў

Калі вы захоўваеце крыптавалюту на біржы, праверце невядомыя сеансы, змененыя звесткі для аднаўлення, новыя адрасы вываду і вывады, якіх вы не запытвалі. Асабліва сур'ёзныя несанкцыянаваныя змены двухфактарнай аўтэнтыфікацыі.

Самастойна адкрыйце афіцыйную праграму або сайт, каб праверыць папярэджанне. Палохальны ліст можа быць фішынгам. Незнаёмае месцазнаходжанне можа тлумачыцца VPN або мабільнай сеткай, таму ацэньвайце прыладу, час і дзеянні ў акаўнце разам.

Захоп акаўнта біржы патрабуе мер бяспекі акаўнта. Выкарыстайце блакіроўку акаўнта або абмежаванне вываду ад пастаўшчыка, калі такая магчымасць ёсць, звярніцеся ў афіцыйную падтрымку і абараніце электронную пошту ды спосабы аўтэнтыфікацыі.

Гэтыя праверкі ўваходу не працуюць такім самым чынам для звычайнага кашалька, якім кіруюць праз фразу аднаўлення. Чалавеку з яго ключамі можа наогул не спатрэбіцца ўваходзіць у вашу праграму.

Дзіўная актыўнасць, якая не даказвае ўзлом

Некаторыя распаўсюджаныя падзеі могуць выклікаць трывогу:

• Меншы баланс у доларах: Цана магла знізіцца, хаця колькасць манет у вас засталася ранейшай.
• Токены не адлюстроўваюцца ў праграме: Магчыма, вы выбралі не той акаўнт або сетку, схавалі токен ці сутыкнуліся з памылкай адлюстравання.
• Незнаёмы выхад Bitcoin: Пры плацяжы рэшта сродкаў можа вяртацца на новы адрас здачы, якім кіруе ваш уласны кашалёк.
• Незапытаны токен або NFT: Адзін толькі спам не даказвае крадзеж вашых ключоў. Схавайце такі актыў, не пераходзьце па яго спасылках і не падпісвайце транзакцыю для яго выдалення.
• Дробныя пераводы або пераводы з нулявой сумай з удзелам падобнага на знаёмы адраса: Гэта можа быць address poisoning: махляры дадаюць у вашу гісторыю адрас атрымальніка, падобны да сапраўднага, каб вы пазней скапіявалі яго.

Некаторыя падробленыя токены капіруюць назву і сімвал сапраўднага токена. Яны нават могуць ствараць зманлівыя запісы пра зыходныя пераводы. Перш чым лічыць такі запіс доказам крадзяжу, праверце сапраўдны кантракт токена і баланс.

Не капіруйце адрас атрымальніка з нядаўняй гісторыі актыўнасці. Бярыце яго ў праверанага атрымальніка або з надзейнай адраснай кнігі.

Як праверыць, што адбылося насамрэч

Выкарыстоўвайце надзейны аглядальнік блокчэйна для патрэбнай сеткі. Вы можаце праверыць публічны адрас, не падключаючы кашалёк, не плацячы камісію і не раскрываючы фразу аднаўлення.

Праверце наступнае:

1. Акаўнт і сетка: Пераканайцеся, што правяраеце адрас, на якім знаходзіліся зніклыя актывы.
2. Статус транзакцыі: Адрознівайце аперацыі ў чаканні ад завершаных пераводаў. Для дэлегаванняў кашалька таксама правярайце, ці не змяніліся дазволы, нягледзячы на няўдалае выкананне.
3. Сапраўдны актыў: Праверце кантракт токена або калекцыю NFT, не давяраючы толькі назве ці лагатыпу.
4. Змена балансу і адрас прызначэння: Высветліце, што сышло і куды. Праглядзіце пераводы токенаў і NFT разам з асноўным спісам транзакцый.
5. Ранейшыя дазволы: Шукайце ўхваленні, подпісы або змены кіравання кашальком, звязаныя са стратай.

Адпраўніком транзакцыі можа быць чужы акаўнт, калі яго ўладальнік выкарыстоўвае дазвол на токены, каб забраць вашы актывы. Гэта не робіць перавод бяскрыўдным. Гэтак жа запіс пра токен, у якім ваш адрас пазначаны як крыніца, не даказвае, што вы асабіста падпісалі транзакцыю.

Калі запісы ў блокчэйне цяжка растлумачыць, перадайце публічны адрас і хэш транзакцыі праверанай службе падтрымкі кашалька. Гэтыя звесткі могуць дапамагчы расследаванню без раскрыцця вашых ключоў.

Што рабіць, калі трывожныя прыкметы пацвердзіліся

Спыніце папаўняць кашалёк і падпісваць запыты

Прыпыніце папаўненні пацярпелага кашалька. Адхіляйце новыя запыты на подпіс, у тым ліку прапановы «рамонту», «праверкі» або «разблакіроўкі». Перастаньце карыстацца прыладай, якая можа быць заражаная, і працягвайце з іншай надзейнай прылады.

Калі фраза аднаўлення або прыватны ключ трапілі да іншых

Для звычайнага кашалька, які кантралюецца раскрытым сакрэтам, стварыце новы кашалёк з цалкам новай фразай аднаўлення на надзейнай прыладзе. Калі можна бяспечна, перавядзіце астатнія актывы, а затым больш не выкарыстоўвайце пацярпелыя акаўнты. Абнавіце ўсе плацежныя адрасы, якія на іх указваюць.

Калі дзейнічае sweeper-бот, не папаўняйце стары кашалёк для аплаты gas. Выратаванне астатніх актываў можа запатрабаваць дапамогі спецыяліста па транзакцыях, і поспех не гарантаваны.

Калі праблема ў дазволе або падпісаным паўнамоцтве

Адклічце адпаведныя дазволы праз правераны інструмент і пераканайцеся, што адкліканне завершана. Дазвол для аднаго токена ў адной сетцы не распаўсюджваецца аўтаматычна на ўсе астатнія.

Для падазронага подпісу, які яшчэ не выкарыстоўваўся, выканайце спецыяльную працэдуру скасавання, прадугледжаную кашальком або пратаколам. Магчыма, трэба будзе перамясціць актывы, пакуль вы высвятляеце, ці застаецца дазвол сапраўдным.

Адкліканне не вяртае ўжо скрадзеныя актывы. Яно таксама не абароніць кашалёк, ключы якога былі раскрытыя.

Калі змяніліся налады кіравання кашальком

Скарыстайцеся афіцыйнай працэдурай аднаўлення або кіравання дазволамі, каб выдаліць несанкцыянаваных уладальнікаў, модулі, ключы подпісу або дэлегаванні. Калі ключ уладальніка стаў вядомы іншым, замяніце адпаведнага падпісанта, калі кашалёк гэта падтрымлівае. Атрымайце рэкамендацыі для вашага пастаўшчыка, перш чым зноў лічыць акаўнт бяспечным.

Калі нехта атрымаў доступ да акаўнта біржы

Заблакіруйце акаўнт або абмяжуйце вывад сродкаў праз афіцыйную працэдуру пастаўшчыка. З надзейнай прылады абараніце электронную пошту, змяніце закранутыя паролі, завяршыце невядомыя сеансы і праверце звесткі для аднаўлення ды двухфактарную аўтэнтыфікацыю.

Захавайце доказы і паведаміце пра страту

Захавайце хэшы транзакцый, публічныя адрасы, часавыя пазнакі, падазроныя URL і адпаведныя паведамленні, адначасова абараняючы астатнія сродкі. Паведаміце пра інцыдэнт пастаўшчыку кашалька або біржы і кампетэнтным органам.

Пацверджаныя пераводы ў блокчэйне звычайна нельга скасаваць праз падтрымку кашалька. Вяртанне сродкаў можа залежаць ад іх замарожвання біржай, расследавання або добраахвотнага вяртання. Асцерагайцеся тых, хто абяцае гарантаванае вяртанне, асабліва калі просіць перадаплату або вашу фразу аднаўлення.